Node.jsプロジェクトは2026年10月21日付の告知で、22・24・26系列のセキュリティ更新の公開を案内しました。Brotli展開処理でリモートコード実行(RCE)につながる問題や、TLS証明書のホスト名検証を回避できる問題など、10件の脆弱性を修正しています。公式告知での最大深刻度はHighです。
修正版は22.23.4、24.22.1、26.12.1
| 利用系列 | 今回の修正版 |
|---|---|
| 22.x | 22.23.4 |
| 24.x | 24.22.1 |
| 26.x | 26.12.1 |
WebサーバーやAPI、開発・ビルド環境で使っているNode.jsを、利用系列の修正版へ更新してください。コンテナーで動かしている場合は、修正版のNode.jsを含むベースイメージへ更新し、イメージを再ビルドします。
Node.js 20は2026年4月30日に公式サポートを終了しており、今回の修正版は提供されません。サポート終了系列を利用している場合は、サポート中の系列へ移行してください。
Brotliのメモリー破壊とTLS検証の問題
CVE-2026-111497は、Brotliデコーダーがメモリーの範囲外へ書き込む問題です。公式はリモートからのコード実行につながると説明していますが、具体的な成立条件は示していません。22・24・26の全系列が対象です。
TLS関連の主な修正は、接続先のIPアドレス表記によって、本来一致しないホスト名の証明書を受け入れてしまう問題です。
- CVE-2026-105483 : IPアドレスを全角数字で表記した場合の検証回避。24・26系列が対象です。
- CVE-2026-106069 : ホスト名がIPアドレスとして緩く解釈される場合の検証回避。22・24・26系列が対象です。
このほか、High評価のDNS名に含まれるNUL文字の扱い(CVE-2026-105482、全3系列)や、Permission Modelのファイルアクセス制限を回避する問題なども修正しています。全10件の一覧は公式告知で確認できます。
依存ライブラリーと証明書の更新も含む
全3系列でc-aresとUndiciが更新されています。OpenSSLは22・24系列、SQLiteは22系列が対象です。また、全3系列にeMudhra中間認証局の侵害へ対応するCA証明書の更新も含まれます。
コメント